Granskning för Azure SQL Database och Azure Synapse Analytics
gäller för:
Azure SQL DatabaseAzure Synapse Analytics
Granskning för Azure SQL Database och Azure Synapse Analytics spårar databashändelser och skriver dem till en granskningslogg i ditt Azure Storage-konto, Log Analytics-arbetsyta eller Event Hubs.
Granskning även:
Hjälper dig att upprätthålla regelefterlevnad, förstå databasaktivitet och få insikter om avvikelser och avvikelser som kan tyda på affärsproblem eller misstänkta säkerhetsöverträdelser.
Möjliggör och underlättar efterlevnadsstandarder, även om det inte garanterar efterlevnad. Mer information finns i Microsoft Azure Trust Center där du hittar den senaste listan över SQL Database-efterlevnadscertifieringar.
Anteckning
Information om granskning av Azure SQL Managed Instance finns i Komma igång med Azure SQL Managed Instance-granskning.
Överblick
Du kan använda SQL Database-granskning för att:
- Behåll en spårningslogg med valda händelser. Du kan definiera kategorier av databasåtgärder som ska granskas.
- Rapportera om databasaktivitet. Du kan använda förkonfigurerade rapporter och en instrumentpanel för att komma igång snabbt med aktivitets- och händelserapportering.
- Analysera-rapporter. Du hittar misstänkta händelser, ovanlig aktivitet och trender.
Viktig
Granskning för Azure SQL Database, Azure Synapse Analytics SQL-pooler och Azure SQL Managed Instance är optimerad för tillgänglighet och prestanda för den databas eller instans som granskas. Under perioder med mycket hög aktivitet eller hög nätverksbelastning kan granskningsfunktionen tillåta transaktioner att fortsätta utan att registrera alla händelser som markerats för granskning.
Granskningsbegränsningar
- Aktivering av granskning på en pausad Azure Synapse SQL-pool stöds inte. Om du vill aktivera granskning återupptar du Synapse SQL-pool.
- Aktivering av granskning med hjälp av användartilldelad hanterad identitet (UAMI) stöds inte på Azure Synapse-.
- För närvarande stöds inte hanterade identiteter för Azure Synapse, såvida inte lagringskontot finns bakom ett virtuellt nätverk eller en brandvägg.
- På grund av prestandabegränsningar granskar vi inte tempdb- och temporära tabeller. Även om åtgärdsgruppen för slutförd batch samlar in instruktioner mot temporära tabeller, kanske den inte fyller i objektnamnen korrekt. Källtabellen granskas dock alltid, vilket säkerställer att alla infogningar från källtabellen till tillfälliga tabeller registreras.
- Granskning för Azure Synapse SQL-pooler stöder standardgranskningsåtgärdsgrupper endast.
- När du konfigurerar granskning för en logisk server i Azure eller Azure SQL Database med loggmålet som ett lagringskonto måste autentiseringsläget matcha konfigurationen för lagringskontot. Om du använder lagringsåtkomstnycklar som autentiseringstyp måste mållagringskontot aktiveras med åtkomst till lagringskontonycklarna. Om lagringskontot är konfigurerat för att endast använda autentisering med Microsoft Entra-ID (tidigare Azure Active Directory-) kan granskning konfigureras för att använda hanterade identiteter för autentisering.
Anmärkningar
- Premiumlagring med BlockBlobStorage stöds. Standardlagring stöds. Men för att granskning ska kunna skriva till ett lagringskonto bakom ett virtuellt nätverk eller en brandvägg måste du ha ett generellt v2-lagringskonto. Om du har ett v1- eller Blob Storage-konto för generell användning uppgradera till ett allmänt v2-lagringskonto. Specifika anvisningar finns i Skriv granskning till ett lagringskonto bakom VNet och brandväggen. Mer information finns i typer av lagringskonton.
- Hierarkisk namnrymd för alla typer av standardlagringskonto och premiumlagringskonto med BlockBlobStorage stöds.
- Granskningsloggar skrivs till Tilläggsblobar i en Azure Blob Storage i din Azure-prenumeration
- Granskningsloggar är i .xel-format och kan öppnas med SQL Server Management Studio (SSMS).
- Om du vill konfigurera ett oföränderligt loggarkiv för granskningshändelser på server- eller databasnivå följer du de instruktioner som tillhandahålls av Azure Storage. Kontrollera att du har valt Tillåt ytterligare tillägg när du konfigurerar den oföränderliga bloblagringen.
- Du kan skriva granskningsloggar till ett Azure Storage-konto bakom ett virtuellt nätverk eller en brandvägg.
- Mer information om loggformat, hierarki för lagringsmappen och namngivningskonventioner finns i artikeln SQL Database-granskningsloggformatet.
- Granskning på Använd skrivskyddade repliker för att avlasta skrivskyddade frågearbetsbelastningar aktiveras automatiskt. Mer information om hierarkin för lagringsmappar, namngivningskonventioner och loggformat finns i artikeln SQL Database-granskningsloggformatet.
- När du använder Microsoft Entra-autentisering visas misslyckade inloggningsposter inte i SQL-granskningsloggen. Om du vill visa loggposter för misslyckade inloggningsförsök måste du besöka Administrationscenter för Microsoft Entra, som loggar detaljer om dessa händelser.
- Inloggningar dirigeras av gatewayen till den specifika instans där databasen finns. Med Microsoft Entra-inloggningar verifieras autentiseringsuppgifterna innan du försöker använda den användaren för att logga in på den begärda databasen. Vid fel används aldrig den begärda databasen, så ingen granskning sker. Med SQL-inloggningar verifieras autentiseringsuppgifterna på begärda data, så i det här fallet kan de granskas. Lyckade inloggningar, som uppenbarligen når databasen, granskas i båda fallen.
- När du har konfigurerat granskningsinställningarna kan du aktivera den nya funktionen för hotidentifiering och konfigurera e-postmeddelanden för att ta emot säkerhetsaviseringar. När du använder hotidentifiering får du proaktiva aviseringar om avvikande databasaktiviteter som kan tyda på potentiella säkerhetshot. Mer information finns i SQL Advanced Threat Protection.
- När en databas med granskning aktiverat har kopierats till en annan logisk serverkan du få ett e-postmeddelande om att granskningen misslyckades. Det här är ett känt problem och granskning bör fungera som förväntat i den nyligen kopierade databasen.